虚拟化带来的安全问题亟需应对

    虚拟世界的安全之道

    现在，我们都在耐心等待，等生产环境虚拟机管理程序或者虚拟机监视程序出现首次被人攻击得逞的消息。要确保你的网络避免成为众矢之的，那么在设计主机系统的架构时，就要尽可能减小潜在的攻击范围。查出第三方的设备驱动程序驻留在什么地方：在虚拟机管理程序内部（旨在改善性能）；还是在更高一层上，这样性能略微受到了影响，却能减小安全风险。

    在主机平台和来宾平台上关闭不必要的仿真设备，并牢牢控制无关特性和闲置不用的服务。记住：虚拟机仍是一种机器。虽说道理很明显，但IT人员还是要像对待传统服务器那样认真对待虚拟机，包括遵守安全政策和准则。在我们的调查中，36%的调查对象承认自己没有部署任何IT安全或者保护计划；23%的人坦言，安全政策还在制定当中。考虑到70%以上的调查对象已经至少部署了一个主机平台，很显然：没有打补丁或者没有受保护的虚拟服务器成了等别人来钻空子的安全漏洞。

    要确保安全事宜、权限以及环境设置得到了合理安排，以便和虚拟机一起转移到新主机上――尽管环境方面的灵活性是像VMware ESX这些企业级产品的主要优势，但要是未经合理规划，动态转移虚拟机的功能反而会埋下祸根。

    　　Shipley说：“在减小攻击范围和整体暴露程度方面，我看到有些组织把VMware管理基础设施这部分与网络的其余部分隔离开来，限制了哪些人可以访问、可以访问哪些内容。很显然，数据中心里面的防火墙是一个比较新的趋势，但这个趋势肯定不是完全由VMware推动的。说到网络分段，我见过的比较先进的IT部门确实在开始考虑‘最小特权’（least privilege）模型这个概念；组织可以通过严格限制针对VMware管理基础设施的访问，从而减小风险系数。”

    Shipley还强调，IT人员绝不能把虚拟化主机放在需要部署网络区域的部位，比如说让ESX主机平台上运行进出非军事区（DMZ）的来宾虚拟机。